Fuite chez Free

Le 25 octobre 2024, Free — deuxième opérateur télécoms français, filiale du groupe Iliad — a confirmé une cyberattaque visant ses systèmes d'information après qu'un pirate a contacté l'entreprise pour annoncer le vol de données d'abonnés. L'enquête a établi que les intrus avaient atteint un outil interne de gestion des abonnés (MOBO), apparemment via le VPN de l'entreprise, ce qui leur a permis d'interroger les fiches des clients Free comme Free Mobile.

L'attaquant a mis deux ensembles de données en vente sur un forum cybercriminel : un large jeu couvrant des comptes Free Mobile et un jeu distinct d'environ 5,1 millions de fiches Free fixe contenant des IBAN bancaires. Les données volées ont ensuite été mises aux enchères et auraient été vendues pour environ 175 000 dollars. Free a indiqué qu'aucun mot de passe, aucune carte bancaire ni aucun contenu de communication n'avaient été compromis.

Les catégories de données exposées comprenaient :

• Nom et prénom
• Date et lieu de naissance
• Adresse email et adresse postale
• IBAN (coordonnées bancaires)
• Identifiant abonné, type d'offre, date de souscription et statut d'abonnement actif

Free a déposé plainte et a notifié les autorités françaises CNIL et ANSSI, en précisant que des mesures de remédiation avaient été appliquées immédiatement. L'incident a été maîtrisé, mais en janvier 2026 la CNIL a infligé à Free et Free Mobile une amende cumulée de 42 millions d'euros pour ne pas avoir suffisamment sécurisé les données, informé les personnes concernées et respecté les règles de conservation des données.